对手出了 0 元购漏洞,它把漏洞逐条写成「我们没有」:TuraIDC 的前 100 颗 star 是真的,后 170 颗要打个问号

TuraIDC 是国内一家小云服务商「二五云」把自家在用的业务 / 财务系统开源出来的项目。国内小 IDC 几乎都在用的商业系统「智简魔方财务」接连出事,它正好在那时候推出,还能一键从魔方迁过来。它在 IDC 同行圈里攒下了约 100 颗 star。11 月 4 日起每天多出四十几颗,这一段看起来更像买来的。下面说清楚:它是什么、真实的 star 从哪来、哪些是包装、你想照着做该学哪一半。

一条「各位 IDC 同行」开头的公告

2026 年 8 月 18 日前后,一家云服务商在 Telegram 频道里发了条公告,很快被转到 VPS 论坛 nodeseek,标题是「据说魔方财务突发 0 元购漏洞」。公告开头写「各位 IDC 同行,重大漏洞提醒」:魔方财务的 /v1 接口只要传一个 resource_percent_value=0,就能用 0 元买下付费的服务器。原因是服务端直接信了前端传来的折扣参数,没有自己再算一遍价钱。

后面还有两句,对用魔方的商家来说更扎心:「据了解,魔方财务官方目前已将相关业务打包出售给第三方公司,短期内官方是否会及时修复此问题存在较大不确定性」,以及发帖方自己做的补丁「仅仅修复了下单的逻辑,升降级和续费仍有该问题」。易主这件事只是商家的说法,没有核实过。

4 天前的 8 月 14 日,GitHub 上刚建了一个叫 25Cloud/TuraIDC 的仓库。8 月 20 日,它一天里连发了 v0.3.1 到 v0.3.3 三个版本。

10 月 9 日,nodeseek 上又有人发帖说,一个魔方的第三方主题模板被原作者埋了后门,能上传 WebShell、删整站;用 fofa 扫下来,约 1000 个站在影响范围内。发帖人特意说明后门不是魔方本身的。但对小 IDC 老板来说,问题是同一个:跑着自己收钱、开机器的系统,是一套加密、看不到源码的东西。

TuraIDC 的 README 里有一节叫「❌ 我们没有」,第一条是「没有零元购金额篡改漏洞:订单、续费金额一律由服务端按规则重算,客户端参数(如计费乘数)无法将应付金额改为零或负值」。往下是「没有对接上游不鉴权漏洞」「没有文件任意上传」「没有功能锁定也没有后门」「没有支付回调重放」。魔方用户读这几行,对得上自己踩过的每一个坑。

它是什么

一套给 IDC 和云服务商用的经营系统:卖云服务器的小商家,拿它管商品、下单计费、对接上游自动开通机器、充值、发票、工单、分销返佣。后端用 Laravel 12,前端用 Vue 3,管理后台、官网、用户控制台三套前端都有,AGPL 开源。

它不是演示品。二五云自己的站 idc.25y.cn 就跑在上面,11 月 1 日 v0.4.4 的更新说明里写着「生产 809 个上架商品」。建库 84 天发了 11 个版本,v0.4.3 一版就是 78 个提交,文档站有宝塔、Docker、裸机三种部署方式,还有完整的 API 清单。同样只有一两百 star 的项目,很少做到这个完成度。

授权方式:AGPL 版永久免费;不想开源的商家,买闭源商用授权 200 元一年,功能完全一样,也没有授权校验。

真实的 star 从哪来:同行圈子,加上零成本迁移

前 100 颗左右的 star 是在 8 月到 10 月攒下的,10 月 9 日是 101 颗(GitHub 每日 star 数)。来源很集中,就是 IDC 同行:

• 合作 IDC 一起写代码。README 的 Trusted Partners 里有 7iNet、星空云 StarVM、idcxl、山水云。前十个 fork 里的 Shanshui2024、PigFully、yellowface233,后来都成了贡献者;10 月 21 日 StarVM 还提交了雨云的对接模块。竞争对手成了共建方,star 也是这些人点的。
• 换过来几乎没成本。它能作为上游被魔方原生对接,也能对接魔方上游;文档里有一章「从智简魔方财务迁移」,用户、产品、订单、上游、实名整库搬过来。对一个已经有几百个客户的小 IDC 来说,这一点比功能多更重要。
• QQ 群。README 挂了群链接,圈内口口相传。

公开场合几乎没人讨论它。nodeseek、hostloc、linux.do 都搜不到讲 TuraIDC 的帖子,X 上也没人提,能搜到的只有 kaiyuanbang、reporank 这类开源聚合站自动生成的介绍页。

11 月 4 日之后那 170 颗:更像买的

10 月 28 日到 11 月 3 日,它的 star 一直停在 96 到 98。11 月 4 日变成 142,11 月 5 日 191,11 月 6 日 233,当天晚上 GitHub 显示 272(GitHub 每日 star 数,11-06)。这三天没有新版本,也找不到任何帖子或转发能对上这一跳。

同一时间新来的几个 fork 账号,长得都一样:fry-oink5h、invoiceattempt32、stander-puffier-5f、mystic-bagels8i,都是 8 到 10 月才注册的新号,0 个粉丝,简介是拼出来的英文模板句(「woodworking lover. coffee on weekends. Designer.」「Civil Engineer — coffee, tennis」),每个号各 fork 了四五个互不相干的中文小仓库。它们 star 的也是同一批仓库,比如 dyz-gongwen-skills、Rice-dog/code-codex,这几个仓库同一周也在暴涨,一个 7 天 +156,一个 7 天 +345。这是国内刷 star 服务的典型痕迹。GitHub 的 star 名单这次没拿到,没法逐个核对 star 的账号,所以「买的」是推断,但把握不小。

这样看,TuraIDC 的真实量级是「84 天、约 100 颗、一个垂直小圈子」,不是「一周 +136」。

谁在跟它抢

国内这一格里,没有第二个还在维护、像样的开源项目;海外开源的又不接国内生态。魔方出事以后,冒出来的同类只有 0 star 的 silveridc/cloud-manager-system 和一家科技公司开源的魔方插件,都没起来。没人抄它。

如果是你

一句话:值得学的是打法:行业里大家都在用的闭源系统出了安全事故,就拿出一个开源平替,把对方的漏洞逐条写成「我们没有」,再做好一键迁移。这个项目本身不值得跟:位置已经被它占了,真实 star 也只有一百来颗。

适合谁:本来就在某个垂直行业里干活、手上有一套自用系统的开发者或小商家(主机商、电商 ERP、学校教务、门店收银都算),而且那个行业的事实标准是一套闭源、加密、口碑在变差的商业软件。

不适合谁:想靠开源项目拿几千 star 攒名气的。这类 B 端垂直系统的受众就是几百上千个商家,TuraIDC 做到这个完成度,自然增长也只有约 100 颗;想再做一个国内 IDC 财务系统的也不适合,已经有 TuraIDC 了。

怎么做:

1. 换行业:找一个「人人在用、闭源加密、最近出过漏洞或易主」的行业软件,做开源重写版。先写兼容层和迁移工具,再补功能。
2. 换地区:海外开源的 FOSSBilling、Paymenter 不接国内生态,反过来,别的国家的本地化主机计费系统(本地支付、本地实名、本地上游)可能也有同样的空位,没有核实过。
3. 做它没做好的:TuraIDC 被魔方原生对接还标着「实验」,围绕魔方迁移做独立的迁移工具或安全审计脚本,也能吃到同一批用户的关注。

怎么获客:先拉同行。把愿意用的几家写进 README 当合作伙伴,让他们 fork、提代码。对手一出事,就在那个行业的论坛和群里出现,README 里的「我们没有」要逐条对应对方的漏洞。用自家生产站点的截图和真实数字(上架商品数、接口延迟)做背书。刷 star 能让仓库好看几天,但不会带来一个真用户。

什么时候之前:这种机会跟着对手的事故走,事故过去几个月,用户要么已经换走,要么已经修好、继续用。要在下一次事故曝光后的几天到几周里有能用的版本。TuraIDC 是在漏洞曝光前 4 天建的库,曝光 2 天后就发了版本。

算看错:① 魔方被接手的公司修好漏洞、恢复更新,IDC 圈不再讨论替换,说明这类「对手出事」的窗口很短,只够吃一波;② 未来一两个月 TuraIDC 的 star 回到每周个位数,而合作伙伴墙也没有变长,说明这个打法在垂直 B 端换来的就是一个小圈子,不是声量;③ 反过来,如果有 IDC 论坛或公众号开始成规模地推荐它、使用它的商家明显变多,说明「开源平替 + 迁移」在出事的行业里能真的换掉老大,值得找下一个行业照做。

---

数据与出处:GitHub 仓库 25Cloud/TuraIDC 的 README、Releases、fork 与贡献者(11-06);GitHub 每日 star 数(10-09、10-28 至 11-06);nodeseek 帖子 post-880856(魔方 0 元购,约 08-18)与 post-973651(魔方主题模板后门,10-09);turaidc.com、docs.turaidc.com、idc.25y.cn;竞品 GitHub 页面。魔方「打包出售给第三方」是商家公告里的说法,未核实;11 月 4 日后的 star 是买的,依据是 fork 账号的特征和同批仓库同步上涨,属于推断。